CVE-2026-15517
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W systemie Jinher OA 1.0 odkryto podatność SQL Injection w pliku PlanGiveOut.aspx. Atakujący może zdalnie manipulować argumentem httpOID, co prowadzi do wstrzyknięcia SQL. Exploit został opublikowany i może być wykorzystany.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do bazy danych, wyciek poufnych informacji oraz potencjalne przejęcie kontroli nad systemem. Atak może być przeprowadzony zdalnie bez uwierzytelnienia.
Rekomendacja
Należy natychmiast zaktualizować system Jinher OA do najnowszej wersji lub zastosować tymczasowe zabezpieczenia, takie jak walidacja danych wejściowych i użycie sparametryzowanych zapytań SQL. Jeśli producent nie udostępnia łatki, rozważ izolację systemu od sieci zewnętrznej.
Inne podatności w Jinher OA
Zobacz wszystkie- CVE-2026-19905Wysokie
W systemie Jinher OA 1.0 wykryto słabość w nieznanej funkcji pliku /C6/JHSoft.Web.HrmAttendance/attendance_out_approve.aspx. Manipulacja argumentem httpOID prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany do ataków. Producent został poinformowany, ale nie odpowiedział.
- CVE-2026-11435Wysokie
W systemie Jinher OA 1.0 stwierdzono podatność na iniekcję SQL w pliku nextselectplan.aspx poprzez manipulację argumentem httpOID. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony. Producent nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in Jinher OA 1.0. The affected element is an unknown function of the file /C6/JHSoft.Web.PlanSummarize/PlanGiveOut.aspx. This manipulation of the argument httpOID causes sql injection. Remote exploitation of the attack is possible. The exploit has been published and may be used. The vendor was contacted early about this disclosure but did not respond in any way.